Verslag Netwerkdag VZVZ 25 juni 2026

Programma Implementatie Europese Zorgdiensten (PIEZO) 

Menno Gmelig Meijling licht het Programma Implementatie Europese Zorgdiensten (PIEZO) toe. Het programma realiseert voorzieningen die het voor Nederlandse zorgaanbieders en ICT‑leveranciers mogelijk moet maken om vanaf maart 2029 te voldoen aan de verplichtingen van H2 van de EHDS. Vanaf 2029 moeten Nederlandse zorgaanbieders in staat zijn om grensoverschrijdend patiëntgegevens en medicatiegegevens uit te wisselen via de EHDS-infrastructuur. Nederland was jarenlang vrijwillig deelnemer, net als zo’n 10 tot 15 andere landen.  

Met de EHDS verandert dit: alle 27 EU-lidstaten, plus geassocieerde landen als Noorwegen, zijn verplicht aan te sluiten. Menno schetst het kernidee aan de hand van een concreet voorbeeld: een Nederlandse patiënt breekt zijn been in Spanje. De behandelend arts vraagt via het Spaanse National Contactpoint for e-Health (NCPeH) de patiëntsamenvatting op bij het Nederlandse knooppunt. Die gegevens worden automatisch verstrekt vanuit het Landelijk Schakelpunt (LSP), mits de patiënt hier geen bezwaar tegen heeft. 

Drie usecases voor grensoverschrijdende uitwisseling

PIEZO implementeert drie usecases voor de grensoverschrijdende uitwisseling van gezondheidsgegevens: de Patient Summary (PS-A) opsturen naar andere EU-landen, de Patient Summary (PS-B) ontvangen van andere EU-landen en het uitwisselen van elektronische recepten en verstrekkingen (ePrescription/eDispensation, eP/eD).  Deze usecases vormen de eerste tranche van gegevensuitwisselingen die per maart 2029 verplicht worden.

PS-A werkt  op basis van de spoedsamenvatting, die door een aantal partijen al wordt geïmplementeerd. Livegang kan pas plaatsvinden wanneer de wettelijke grondslag daarvoor is ingegaan. Dit wordt voorzien voor januari 2027. Zorgaanbieders die de spoedsamenvatting draaien, kunnen daarop doorpakken voor de Europese uitwisseling. Dit betreft een zgn. Minimal Viable Product, op dit moment wordt gewerkt aan een volgend plateau met daarin o.a. een kwaliteitsverbetering van de medicatiegegevens en de overgang naar FHIR, omdat Europa mogelijk al in 2029 over wil op FHIR.

PS-B is technisch gereed voor gebruik sinds februari 2022 en zodra de wettelijke grondslag daar is, kan deze opgeschaald worden ter voorbereiding op de verplichtingen vanuit de EHDS.

In 2031 wordt een tweede tranche aan usecases verplicht: de Europese uitwisselingen van testresultaten (lab), beeld en ontslagbrieven.  

Technische infrastructuur: Circle of Trust 

De technische ruggengraat is het NCPeH-NL, de nationale digitale toegangspoort die is aangesloten op het Europese netwerk MyHealth@EU. Alle lidstaten doorlopen een uitgebreide compliance check voordat ze toegang krijgen tot de zogeheten 'Circle of Trust'. Elk land regelt de infrastructuur anders: Finland heeft alles centraal geregeld, in Duitsland is het georganiseerd via de Bundesländer en in Spanje via de regio's. De patiënt houdt de controle of de uitwisseling van gegevens al dan niet plaats kan vinden. Op dit moment is dat nog op basis van een zgn. opt-in, waarbij de patiënt toestemming geeft via MITZ. 

Twee aansluitroutes 

Voor de aansluiting op het NCPeH komen twee routes beschikbaar. Via het NCPeH-portaal kunnen zorgaanbieders per 1 januari 2027 direct, met een geldig DEZI-middel, inloggen voor de Patient Summary. De tweede route is een API-koppeling via de Twiin-specificaties, als onderdeel van een landelijk dekkend netwerk. Deze tweede route biedt partijen de mogelijkheid om te koppelen aan het NCPeH vanuit hun eigen systeem. 

Vier fasen onder tijdsdruk 

De implementatie verloopt in vier fasen, maar de tijdsdruk is groot. Gmelig Meijling: “De uitbreidingen op het NCPeH moeten eind 2027 klaarstaan om in 2028, het Europese testjaar, gevalideerd te worden. Voor ons is dat supersnel, ook omdat wetgeving en specificaties nog in beweging zijn.”  

Dat testjaar mogen geen ingrijpende wijzigingen meer worden doorgevoerd aan de software die Europees getest wordt. Effectief heeft Nederland nog anderhalf jaar om de ontwikkeling af te ronden. De concrete planning: in het najaar van 2026 gezamenlijk specificeren, in 2027 bouwen en in 2028 Europees testen. 

PIEZO wil deze transitie zoveel mogelijk laten aansluiten op landelijke programma’s en ontwikkelingen zoals Landelijk Dekkend Netwerk, Twiin, Medicatieoverdracht en Met Spoed Beschikbaar. De komende twee jaar zijn cruciaal om samen met zorgaanbieders, leveranciers en brancheorganisaties de noodzakelijke keuzes te maken, koplopers aan te sluiten en Nederland tijdig gereed te maken voor Europese gegevensuitwisseling. Daarna volgt de landelijke uitrol.

Governance en Europese standaarden 

De governance is meervoudig: PIEZO concentreert zich op de grensoverschrijdende gegevensuitwisseling. Landelijke programma’s zoals LDN, Medicatieoverdracht (MO) en MSB op het nationale deel. Vanuit de zaal komt een vraag over de exacte Europese koppelvlakstandaard. Gmelig Meijling legt uit dat die momenteel nog in onderhandeling is tussen de Europese Commissie en de lidstaten. De EHDS schrijft in artikel 15 voor dat EPD-leveranciers een apart koppelvlak moeten maken dat voldoet aan de Europese specificaties. De Europese Commissie heeft de intentie om de standaard in september 2026 in stemming te brengen. Zodra die is vastgesteld, krijgt deze wettelijke kracht en wordt deze openbaar. Europa voorziet ook in testfaciliteiten waarmee leveranciers zelf kunnen vaststellen dat hun koppelvlak voldoet. PIEZO volgt de ontwikkelingen op de voet.  

Gmelig Meijling sluit af met een oproep aan aanwezige zorgaanbieders én ICT-leveranciers om zich als koploper aan te melden. Deze zomer (2026) voert PIEZO gesprekken met ziekenhuizen, huisartsorganisaties, ICT-leveranciersorganisaties, en brancheorganisaties zoals LHV, NHG, InEen, NVZ, UMCNL en KNMP over welke partijen koploper kunnen en willen zijn. 

Nationaal Test- en Validatiecentrum: kwaliteit van zorgoplossingen als standaard

Walter Kraan (Nictiz) nam de aanwezigen mee in de stand van zaken rond het Nationaal Test- en Validatiecentrum (NTV). Walter Kraan is bij Nictiz verantwoordelijk voor Productontwikkeling en beheer, waaronder het NTV. 

Kwaliteit vraagt structurele samenwerking

Walter Kraan begint met de aanleiding voor het NTV. In de zorgketen zijn veel partijen betrokken, elk met een eigen verantwoordelijkheid. De overdraagmomenten tussen partijen zijn per definitie een risico. “De zorg is niet per definitie complex, maar we hebben het wel ingewikkeld gemaakt met elkaar.” Standaarden die bij Nictiz relatief breed worden gedefinieerd, worden vervolgens geïmplementeerd op het LSP of een NUTS-node, en dan blijken ze in de praktijk toch net niet op elkaar te passen.

Het NTV is niet vanuit één organisatie bedacht. Nictiz en VZVZ zijn samen gestart: Nictiz als de partij die kwalificeert, VZVZ als de partij die accepteert. “Eigenlijk is het wel gek: wij hebben een loketje, zij hebben een loketje, en dan ben je continu in een soort overdrachtsmodus.” 

Vanuit de aansturing van VWS en Zorgverzekeraars Nederland is het platform de afgelopen tweeënhalf jaar gezamenlijk opgebouwd. OIZ is ingestapt als praktijkpartner. “OIZ heeft gezegd: ook wij hebben behoefte aan een omgeving waar we integraal kunnen testen. Die kunnen we integreren in onze ontwikkelomgeving om veel sneller tot resultaat te komen.”

Eén platform, meerdere fasen

Het NTV beoogt één omgeving te zijn voor alle fasen van testen: van vroeg functioneel testen door de softwareleverancier tot acceptatietesten door de zorgverlener. Kraan benadrukt dat kwaliteit niet vanzelf komt. “We denken heel veel na over hoe we zorgen dat wat we aan de voorkant hebben verzonnen ook echt voldoet aan wat er in de praktijk nodig is.” Bruikbaarheideisen zijn daarin een concreet voorbeeld: wat verplicht aangeleverd en dus geregistreerd moet worden. Met een sterke focus op gegevensuitwisseling is de afgelopen jaren in de ontwikkeling van afsprakenstelsels en informatiestandaarden minder concrete aandacht geweest op de eisen aan registratie. 

Het NTV platform is 24/7 beschikbaar, non-restrictief van opzet en biedt tools voor root-cause-analyses. Partijen kunnen zowel met eigen testdata als met gevalideerde datasets werken, en zowel vrij verkennen als voorgeschreven testcases doorlopen. “Blackbox-achtige testen én meer gedefinieerde whitebox-achtige testen: dat kunnen we definiëren en neerzetten.”

Drie toepassingen

De werkwijze binnen het NTV kent drie toepassingen, elk met een eigen volwassenheidsgraad.

1. De eerste is de zandbak (the sandbox): een laagdrempelige testomgeving voor startende initiatieven. Partijen leveren specificaties aan, het NTV richt de omgeving in. “Het hoeft niet eens definitief te zijn. We zetten een eerste versie neer en we kunnen meegroeien.” Partijen die nu al gebruikmaken van de zandbak zijn onder meer de PZP-coalitie (proactieve zorgplanning), Twiin en Cumuluz. Het platform telt op dit moment circa 75 actieve partijen en bevat al 28.000 gedefinieerde testcases. Kraan noemt vroeg en kwalitatief testen ook als kostenbesparing: grote testprogramma's achteraf zijn vele malen duurder dan investeren in een gevalideerde omgeving aan de voorkant.
2. De tweede toepassing is (pre)validatie: het formele proces waarmee aantoonbaar wordt gemaakt dat een oplossing voldoet aan de gestelde eisen. Kraan gaat in op de vraag rondom certificering versus self-assessment. Het Directoraat-Generaal Informatiesamenleving (DGIS) heeft gepusht op certificering, maar de Europese ontwikkelingen wijzen eerder in de richting van self-assessment. “NTV is op beide ingericht.” De ambitie is een zero-touch omgeving: leveranciers voeren zelf hun tests uit, een rapport wordt gegenereerd en handmatige handelingen blijven beperkt tot uitzonderingssituaties. “Ik wil first time right. Op het moment dat je opkomt voor de validatie, weten we eigenlijk al dat het goed is.” De BGZ-MSZ en de eOverdracht zijn inmiddels al testbaar.
3. De derde toepassing is de integratie-testomgeving, en die is nog in ontwikkeling. Dit is de omgeving waar Kraan zelf het meest enthousiast over is. “We gaan gewoon zorgen dat we een omgeving creëren waar eindgebruikers met hun eigen applicatie daadwerkelijk end-2-end tests kunnen uitvoeren.” Het doel is een 24/7-testomgeving, vergelijkbaar met een permanente Connectathon, maar dan vanuit eindgebruikersperspectief. In het derde kwartaal van 2026 wordt een eerste minimum viable product beproefd. 

“We willen af van testen in productie. We willen af van testen met productiedata.” Dat klinkt voor de hand liggend, geeft Kraan toe, maar in de zorg is het dat niet. “Ik kom uit de financiële sector. Als ik dit daar zou horen op het podium, zou ik zeggen: wat is dat nou voor een vraag, dat is toch 100% duidelijk dat je dat niet doet? Maar dit is wel wat het is.” 

Vanuit de zaal voegt een aanwezige toe dat VZVZ al met twee regio's aan een vergelijkbaar initiatief werkt. Kraan reageert instemmend en noemt dit een reden om de initiatieven te bundelen.

Europese dimensie

Het NTV heeft ook een expliciete Europese rol. De EU ITDR (Interoperability Test Bed), het Europese testkader, wordt volledig geïntegreerd in het NTV. “Op het moment dat je het NTV test, test je ook de EU-specificaties.” Kraan constateert dat landen de European Health Data Space (EHDS) elk op eigen wijze zullen implementeren. “Iedereen gaat de EHDS op zijn eigen manier implementeren. De EHDS is niet voldoende om onze volledige requirements in Nederland af te dekken, dus we moeten Nederlandse extensies toevoegen.” Hij noemt dit een aanleiding om het gesprek over Europese extensies eerder en breder te voeren.

Regionaal gebruik

Kraan benadrukt dat het NTV niet uitsluitend voor nationale programma's bedoeld is. Hij is met Zorgverzekeraars Nederland in gesprek om ook regionale initiatieven toegang te bieden tot het platform. “Innovatie begint lokaal in de regio. Dat komt niet van landelijke richtlijnen of wetgeving.” Regionale partijen kunnen gebruikmaken van het testplatform, de bevindingenregistratie en het testmanagement, zonder zelf een omgeving op te moeten zetten. Kraan noemt het eOverdracht-programma als voorbeeld, waar testmanagement en regie op bevindingen veel rust gaven in het samenwerkingsproces.

Blik vooruit

Het NTV heeft een meerjarige routekaart. In 2026 staan het fundament en de aansluiting van BGZ-MSZ, eOverdracht, Twiin en adressering centraal; eind dit jaar moet ook de Nederlandse patiëntjourney testbaar zijn. In 2027 volgt bredere nationale en Europese aansluiting, met onder meer de European Patient Summary. In de jaren daarna worden beeldbeschikbaarheid, ePrescription en eDispensation toegevoegd, met als eindpunt in 2029 een volledige EHDS-validatieomgeving en een integrale ketentestomgeving voor zorgverleners. Kraan geeft aan afhankelijk te zijn van subsidies, maar formuleert de ambitie onverbloemd: “Ik kan wel grenzeloos dromen.”

Aanmelden voor het NTV kan via https://mijn.ntv.nl. Na aanmelding en activatie van tweefactorauthenticatie (2FA) ondersteunt het NTV-team bij het configureren van de omgeving.

Continuïteitsprogramma digitale zorgcommunicatie (PKI G4 transitie)

Frank Voogel, productverantwoordelijke voor ZORG-ID en Mitz bij VZVZ, licht de aanstaande transitie naar PKI G4-certificaten toe. Hij gebruikt een treffende vergelijking: “Het is alsof we een Russische taal introduceren en het Nederlands afschaffen in november 2028.” Op 12 november 2026 worden de nieuwe G4-certificaten geïntroduceerd ter vervanging van de huidige G1- en G3-certificaten, die uiterlijk in november 2028 hun geldigheid verliezen.

Het probleem: communicatie komt stil te liggen

Certificaten vormen de basis van vertrouwen in digitale zorgcommunicatie. Ze werken vergelijkbaar met het slotje in een webbrowser: systemen herkennen elkaar en weten dat ze met de juiste partij communiceren. Die certificaten zitten zowel in de serverinfrastructuur als op USB-passen en zorgpassen. Het probleem: organisaties die de nieuwe G4-certificaten niet hebben geïmplementeerd, kunnen na 12 november niet meer communiceren met partijen die wél G4 gebruiken. “De een spreekt geen Russisch en de ander verstaat nog geen Russisch,” aldus Voogel. “Als je die taal niet begrijpt, dan ligt die zorgcommunicatie stil.”

Waarom de transitie noodzakelijk is

De transitie is breder dan alleen het zorgdomein en betreft het gehele publieke domein (PKI-O). G4-certificaten gebruiken modernere cryptografie en veiligheidsnormen. De nieuwe certificaten kennen een langere sleutellengte voor sterkere encryptie en bieden betere bescherming tegen cyberaanvallen. Voogel noemt dit ook bestuurlijk relevant vanuit NIS2-perspectief: het beperkt securityrisico's voor bestuurders bij nieuwe cyberdreigingen. De certificaten zijn onderdeel van eIDAS en toekomstige Post-Quantum Cryptografie-ontwikkelingen (PQC).

Technisch brengt G4 substantiële wijzigingen: een nieuw signature- en TLS-algoritme (RSASSA-PSS), een nieuwe rootstructuur met nieuwe CRL, betere scheiding tussen authenticatie en ondertekening, en meer nadruk op modern verbindingsprotocol TLS 1.3 (TLS 1.2 blijft verplicht). Ook wijzigen de velden in het certificaatprofiel, al blijft dit backwards compatibel. De grootte van certificaten verandert, met impact op headers en kaartlezers.

De urgentie en tijdsdruk

De planning is krap. Leveranciers hebben een doorlooptijd van 6 tot 24 maanden nodig voor implementatie, en de hele keten is afhankelijk van implementatie bij alle partijen. Voogel benadrukt dat het onderwerp technisch is en vaak weggestopt zit in de infrastructuur bij systeembeheerders. “Het komt niet helemaal naar boven toe,” constateert hij. Maar de consequentie is helder: “Op 12 november kan, wanneer je hier niet de aandacht aan hebt gegeven, die communicatie met nieuwe partijen die een nieuw certificaat moeten aanschaffen gewoon niet meer.”

Twee programmalijnen

Het VZVZ-programma kent twee hoofdlijnen. De eerste lijn betreft de interne migratie: alle producten en diensten van VZVZ en sourcingpartners die afhankelijk zijn van PKI-O-certificaten worden aangepast. Dit omvat impactanalyses, technische wijzigingen, coördinatie van migraties bij sourcingpartners en impactbepalingen voor softwareleveranciers en zorgaanbieders. De tweede lijn richt zich op ondersteuning van softwareleveranciers en zorgaanbieders: informeren over vereiste wijzigingen en ondersteunen bij implementatie.

Concrete acties voor zorgorganisaties

Zorgorganisaties moeten drie nieuwe certificaathiërarchieën toevoegen aan hun infrastructuur, zodat systemen de nieuwe certificaten kunnen herkennen en accepteren. Voogel adviseert: “De belangrijkste controle is: kan ik die nieuwe hiërarchieën kwijt? Er zitten beperkingen op het aantal slots die je hebt als een server in licentierechten of wat dan ook.” Hij raadt aan niet te wachten tot oktober of november, maar nu al te controleren of er voldoende ruimte is voor de drie nieuwe hiërarchieën.

Daarnaast moeten organisaties testmiddelen aanvragen voor servers en passen, en kaartlezers controleren. Kaartlezers met het nieuwe logo werken prima, maar oudere lezers met een wit logo zijn mogelijk niet geschikt. “Als daar wit nog op staat, dan werken die kaartlezers niet,” waarschuwt Voogel. De prijzen van kaartlezers zijn inmiddels twee keer zo duur geworden, al zijn ze in Duitsland nog voor €22 te krijgen. 

Ook moeten server-updates (certificaat en ZORG-ID SDK) en desktop-updates (SafeSign / ZORG-ID Desktop App) worden ingeroosterd, moet de XIS-software worden geanalyseerd op benodigde aanpassingen, en moeten supportafdelingen worden geïnformeerd.

Voogel benadrukt dat de transitie breder is dan alleen UZI-certificaten. Ook DigiD en het SBVZ-register gaan in november over naar de nieuwe certificaten. Organisaties die certificaten via KPN of Digicert hebben aangeschaft, moeten extra opletten: KPN heeft nog geen testcertificaten beschikbaar en verwacht die ook niet op korte termijn. Dit heeft te maken met een grote verhuizing van HSM's (Hardware Security Modules). KPN overweegt om huidige certificaten langer door te laten lopen. Testcertificaten zijn wel beschikbaar via PKI Partners.

Onverwachte complicaties

Voogel waarschuwt voor SaaS-diensten die onverwachte problemen kunnen geven. “Er zullen ongetwijfeld SaaS-services staan die je niet gezien hebt of niet herkent, of dat de boom verkeerd erin staat en dat daar problemen gaan ontstaan.” Hij benadrukt dat het onderwerp zo weggestopt zit in de infrastructuur dat organisaties wellicht niet alle afhankelijkheden overzien. Voor organisaties die in paniek raken, is er een noodoplossing: het eigen certificaat verlengen voordat het verloopt. 

Ondersteuning en informatie

VZVZ ondersteunt de transitie actief. Alle VZVZ-infrastructuur wordt aangepast voor de nieuwe certificaten. Impactanalyses voor softwareleveranciers zijn uitgevoerd, en de ZORG-ID wordt aangepast. Via GBZ-beheerders wordt ondersteuning geboden aan zorgorganisaties. Voogel heeft verdiepende informatie samengebracht in een linkje, beschikbaar via het UZI-register en Logius. Vragen kunnen worden gesteld via VZVZ of via de bekende leveranciersmanagementkanalen.

Vanuit de zaal komt de vraag wat huisartsen individueel kunnen doen. Voogel adviseert om via de GBZ-beheerder en de softwareleverancier te checken of alles geregeld is, en zeker de kaartlezer te controleren als de pas in november afloopt. Hij vergelijkt de situatie met het millenniumprobleem: “We moeten met z'n allen bewust zijn. Je bent als huisarts afhankelijk van heel veel factoren.”

Voogel sluit pragmatisch af: “Op zich is de operatie constructief, niet heel erg complex of heel erg moeilijk. Maar het moet wel gebeuren. Dat we met z'n allen Russisch praten en elkaar ook kunnen verstaan. Dat alles gewoon doorloopt zoals het hoort te lopen.”

Update Implementatie generieke functies

Het verslag van de presentatie van Marc Hoekstra over de Implementatie generike functies volgt nog.